Hackers exploram ferramenta Aave para roubar 114 ETH

Um adaptador de empréstimo de terceiros construído sobre Aave foi explorado para roubar aproximadamente 114,09 ETH, avaliados em mais de 300.000 dólares, enquanto o protocolo Aave em si permaneceu inalterado. Em 2 de outubro, a empresa de segurança blockchain SlowMist relatou que o atacante comprometeu duas carteiras multisig Safe através de uma falha no FlashLoopAdapter usado com as posições da Aave v3. Essa exploração permitiu que o atacante contornasse as verificações de autenticação, executasse chamadas arbitrárias e drenasse colaterais das carteiras afetadas. A SlowMist observou que cerca de 1300 WETH de dívida também foi paga durante o ataque para desbloquear colaterais vinculados às posições. O fundador da Aave, Stani Kulechov, esclareceu que o incidente não envolveu os contratos inteligentes principais da Aave v3, afirmando que era um adaptador externo de terceiros com efeito zero na Aave v3. A vulnerabilidade foi rastreada para as funções open() e close() do FlashLoopAdapter, que poderiam ser falsificadas. O atacante criou um contrato Safe falso que confirmou erroneamente que o adaptador estava habilitado, permitindo que o adaptador aceitasse autenticações forjadas e executasse funções internas. O adaptador também permitiu que o chamador especificasse o roteador e os dados da chamada para chamadas de contratos externos. O atacante direcionou o roteador de volta para a Safe vítima e invocou a função execTransactionFromModule da Safe, permitindo a retirada de weETH e colaterais das carteiras multisig. Este incidente destaca um risco recorrente nas finanças descentralizadas, onde a segurança do protocolo pode permanecer intacta enquanto as integrações criam vulnerabilidades separadas.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.